OWASP 应用程序安全验证标准 4.0.3

验证基于时间的一次性密码在过期之前是否有定义的有效期。

验证用于验证提交的 OTP 的对称密钥是否得到高度保护，例如通过使用硬件安全模块或基于安全操作系统的密钥存储。

验证在 OTP 的生成、初始化和验证过程中使用的是经过批准的加密算法。

验证基于时间的一次性密码在有效期内只能使用一次。

验证如果在有效期内重复使用基于时间的多因素一次性密码（OTP）令牌，是否会被记录并拒绝，同时向设备持有者发送安全通知。

验证实体单因素 OTP 生成器在被盗或丢失的情况下可以被撤销。确保撤销在所有登录会话中立即生效，无论位置如何。

确保生物识别身份验证器仅限于作为二级因素使用，并需与您拥有的东西或您知道的东西结合使用。